Cursor odstránil škodlivé rozšírenie Claude Code. Samotná aktualizácia nemusí odstrániť zadné vrátka

Cursor potvrdil bezpečnostný incident vo svojom obchode rozšírení: upravené balíky Claude Code obsahovali škodlivý kód, ktorý sa pokúšal vytvoriť trvalý vzdialený prístup do vývojárskeho počítača. Nejde o chybnú odpoveď jazykového modelu ani o manipuláciu zadania pre AI. Útočník vložil spustiteľný kód do nástroja, ktorému používateľ pri vývoji bežne dôveruje. Rozšírenie pritom mohlo ďalej zobrazovať očakávané rozhranie, takže normálne fungovanie asistenta nebolo dôkazom bezpečnosti zariadenia.

Aktualizované bezpečnostné oznámenie Cursor označuje za zasiahnuté balíky Anthropic.claude-code vo verziách 2.1.312 a 2.1.313 pre macOS a Windows distribuované cez jeho obchod. Cursor uvádza distribučné okno 29. októbra 2026. Pre posúdenie incidentu je podstatná kombinácia pôvodu balíka, platformy a času inštalácie, nie iba názov Claude Code v zozname programov. Firma zároveň výslovne uvádza, že tieto škodlivé úpravy nevyvinul Anthropic. Samotné označenie rozšírenia preto nemožno zamieňať s autorstvom vloženého malvéru.

Nové podrobnosti priniesla technická analýza Phorion, ktorá rozobrala spôsob spustenia, vytváranie zadných vrátok aj chyby v implementácii. Ars Technica doplnila vlastné vyjadrenie technického riaditeľa bezpečnostnej firmy a oslovila Cursor aj Anthropic s otázkami o príčine kompromitácie. Zdroje tak poskytujú odlišné vrstvy dôkazov: prevádzkovateľ opisuje distribúciu a zásah, analytici skúmajú konkrétny kód a redakcia preveruje verejné vysvetlenie incidentu.

Čo škodlivé rozšírenie robilo

Podľa Phorion bol škodlivý blok vložený pred bežný JavaScriptový balík rozšírenia. Spustil sa už pri načítaní modulu, ešte pred jeho štandardnou aktiváciou. Používateľ preto nemusel začať rozhovor s Claude ani agentovi schváliť konkrétny príkaz. Toto rozlíšenie je zásadné: pravidlá pre povoľovanie nástrojov jazykovému modelu neriešia situáciu, keď je napadnutý samotný program, ktorý model sprostredkúva. Kontrola konverzácií by takýto vstupný bod sama osebe nepokryla.

Kód pridával útočníkov verejný SSH kľúč do používateľskej konfigurácie, pokúšal sa zapnúť lokálnu službu SSH a vytvoriť spätný tunel na externý server. Cieľom bolo umožniť neskoršie prihlásenie do počítača cez už vytvorené odchádzajúce spojenie. Okrem toho pripravoval mechanizmy automatického spúšťania, aby sa pokus o spojenie obnovoval. Na macOS analýza opisuje používateľský LaunchAgent, na Windows plánovanú úlohu a náhradný mechanizmus v priečinku automatického spúšťania. Odstránenie pôvodného rozšírenia preto nemuselo odstrániť všetky jeho následky.

Ďalšou časťou bol zber informácií o zariadení a používateľovi. Cursor uvádza názov počítača, používateľské meno, operačný systém, pracovné adresáre, nakonfigurovaný e-mail pre Git a názvy premenných prostredia. Zber názvov premenných nie je to isté ako potvrdené odoslanie ich tajných hodnôt. Phorion však upozorňuje, že názvy môžu prezradiť používané cloudové služby alebo druhy prístupových údajov. Ak by následne fungoval interaktívny prístup, rozsah možných zásahov by už nebol obmedzený na úvodnú správu odoslanú malvérom.

Úspech celej reťaze nebol automatický. Phorion zdokumentoval chybu pri zisťovaní stavu vzdialeného prihlásenia na macOS: odpoveď o chýbajúcich administrátorských oprávneniach kód nespracoval správne, a preto mohol preskočiť zapnutie služby. Ak SSH nebolo dostupné, tunel sám osebe ešte nezabezpečoval funkčné prihlásenie. Pridanie kľúča a vytvorenie mechanizmov pretrvania však mohlo prebehnúť aj tak. Chyba útočníka teda znižovala úspešnosť určitého kroku, ale nevracala zariadenie do dôveryhodného stavu.

Čo to znamená pre slovenských používateľov a firmy

Slovenská firma by mala najprv zistiť, či vôbec používala dotknutý distribučný kanál. Rozhodujúce nie je sídlo organizácie, jazyk projektov ani miesto uloženia jej cloudových dát, ale konkrétne nainštalované rozšírenie. Zverejnené oznámenie neuvádza geografické obmedzenie incidentu, no ani nepotvrdzuje zasiahnuté zariadenia na Slovensku či v EÚ. Nemožno preto tvrdiť, že slovenskí používatelia boli napadnutí; rovnako nemožno z miestneho sídla firmy odvodiť, že sa ich kontrola netýka.

Praktický význam vyplýva z toho, čo býva dostupné vývojárskemu účtu. Rozšírenie beží s oprávneniami vývojového prostredia a jeho používateľa, na čo upozorňuje Phorion. Pri vyšetrovaní preto treba zohľadniť zdrojové kódy, lokálne pracovné súbory a prístupy dostupné danému účtu. To nie je dôkaz, že útočník tieto dáta skutočne odcudzil. Je to vymedzenie priestoru, ktorý musí bezpečnostný tím preveriť podľa reálnych oprávnení konkrétnej pracovnej stanice, nie podľa marketingového označenia AI asistenta.

Cursor odporúča vyhľadať indikátory kompromitácie v záznamoch zariadení, siete a inštalácií rozšírení. Pri dôkazoch spustenia škodlivého kódu alebo inštalácie zadných vrátok odporúča hostiteľa izolovať. Následne treba odstrániť neoprávnený kľúč, mechanizmy pretrvania a bežiace tunely a posúdiť obnovu zariadenia. Ide o reakciu na potenciálne napadnutý počítač, nie iba o správu doplnkov editora. V podnikovom prostredí by tento postup mal koordinovať správca alebo bezpečnostný tím, ktorý dokáže zachovať aj podklady na vyšetrovanie.

Osobitne dôležité je meniť dostupné prihlasovacie údaje a relácie z dôveryhodného systému, ako uvádza Cursor. Zmena hesla na zariadení, ktorému ešte nemožno dôverovať, nie je rovnocenná s obnovou prístupu z čistého prostredia. Rozsah výmeny musí vychádzať z dostupnosti tajomstiev a zistených stôp, nie z domnienky, že odoslané boli všetky hodnoty. Súčasne nemožno úvodný obmedzený zber informácií použiť ako dôkaz, že neskorší prístup k prihlasovacím údajom určite nenastal.

Čo Cursor zastavil a čo zostáva na zariadeniach

Prevádzkovateľ oznámil odstránenie škodlivých balíkov a zablokovanie ich ďalšej distribúcie. Obchod preventívne odstavil, skontroloval prístupy, vymenil svoje kľúče a po obnove ho opäť sprístupnil. Podľa jeho vyjadrenia audit nepotvrdil úpravy ďalších rozšírení. Cursor tiež spolupracoval s poskytovateľom hostingu na odstavení útočníkovho servera. Tieto kroky sú dôležité pre prerušenie známeho kanála útoku, no zostávajú vyjadrením prevádzkovateľa o rozsahu jeho kontroly, nie verejne dostupným úplným nezávislým auditom.

Odstavenie servera nerieši automaticky všetky zmeny vykonané na pracovnej stanici. Neoprávnený SSH kľúč alebo položka automatického spúšťania sú lokálne artefakty, ktoré môžu zostať aj po strate spojenia so serverom. Phorion preto upozorňuje, že odinštalovanie rozšírenia nestačí. Správca musí odlíšiť zastavenú distribúciu, prerušené spojenie a obnovenú dôveryhodnosť zariadenia. Sú to rozdielne výsledky s rozdielnymi dôkazmi. Bežné otvorenie editora bez chybového hlásenia nepotvrdzuje ani odstránenie perzistencie, ani neprítomnosť predchádzajúceho prihlásenia.

Slovenčina

Podpora slovenčiny sa na posúdenie tohto bezpečnostného incidentu nevzťahuje: predmetom správy je škodlivý kód v rozšírení, nie jazyková kvalita modelu. Slovenský text zadania ani slovenské názvy súborov neposkytujú ochranu pred kódom spusteným pri načítaní modulu. Citované zdroje nepredkladajú nové jazykové testy Claude Code a tento článok z nich nevyvodzuje podporu slovenčiny. Pre slovenské tímy je podstatné pripraviť zrozumiteľné interné upozornenie s presným rozlíšením dotknutého obchodu, balíkov a odporúčaného postupu kontroly.

Porovnanie s alternatívami

Samotná odinštalácia rozšírenia je užší zásah než úplná reakcia na incident: podľa Cursor a Phorion môže ponechať neoprávnený SSH kľúč, spúšťacie položky aj samostatné skripty. Je užitočná na odstránenie známeho vstupného komponentu, ale nemožno ju vydávať za potvrdené vyčistenie počítača. Rovnaké obmedzenie sa týka spoliehania na neskoršiu aktualizáciu editora alebo rozšírenia. Rozhodnutie, že zariadenie je bezpečné, musí vychádzať z kontroly následkov spustenia, nie iba z aktuálneho zoznamu doplnkov.

Cielená náprava podľa indikátorov odstraňuje konkrétne kľúče, procesy a mechanizmy pretrvania, zatiaľ čo obnova pracovnej stanice rieši širšiu otázku dôvery v jej stav. Cursor odporúča posúdiť, či je potrebné zariadenie obnoviť; nejde o tvrdenie, že každý používateľ musí automaticky preinštalovať systém. Cielený postup môže byť primeraný pri dostatočných záznamoch a jasne ohraničených zmenách. Ak sa však podarilo vzdialené prihlásenie alebo chýba potrebná telemetria, odstránenie známych artefaktov poskytuje menej istoty o prípadnej ďalšej aktivite.

Tieto alternatívy sa dopĺňajú s izoláciou a obnovou prihlasovacích údajov, nenahrádzajú ich. Prerušenie sieťového prístupu pomáha obmedziť pokračovanie incidentu, ale nezmaže už vykonané zmeny. Výmena tajomstiev obmedzuje použiteľnosť starých prístupov, ale neodstráni škodlivé spúšťacie položky. Pre firmu je preto účelnejšie sledovať osobitne stav zariadenia a stav jeho oprávnení. Jediné zaškrtnutie úlohy „aktualizované“ by zakrývalo rozdiel medzi zastavením vstupného bodu a odstránením možných následkov.

Čo zatiaľ nevieme

Z verejných podkladov nevyplýva úplná príčina kompromitácie distribučného kanála ani identita útočníka. Ars Technica uvádza, že otázky smerujúce k spôsobu získania prístupu zostali bez vysvetlenia. Nie je preto podložené pripísať incident konkrétnemu ukradnutému účtu, internému zamestnancovi alebo určitému štátnemu aktérovi. Rovnako chýba verejný úplný obraz toho, na ktorých zariadeniach vznikol iba nefunkčný tunel, kde už SSH bežalo a kde došlo k skutočnému prihláseniu či ďalším zásahom.

Dôležitá je aj hranica medzi podporovanými vetvami škodlivého kódu a potvrdenou distribúciou. Phorion opisuje logiku pre viacero operačných systémov, ale aktualizované oznámenie Cursor vymedzuje dotknuté balíky pre macOS a Windows. Existencia linuxovej vetvy sama osebe nedokazuje zasiahnutú linuxovú distribúciu. Aktuálny verejný opis preto treba čítať podľa konkrétnych balíkov a indikátorov. Nové zistenia môžu rozsah spresniť, no bezpečnostná kontrola už teraz nemusí čakať na úplné vysvetlenie pôvodu útoku.

Prípad ukazuje konkrétnu hranicu dôvery pri používaní AI vo vývoji: bezpečnosť modelu nie je totožná s bezpečnosťou jeho distribučného a integračného prostredia. Organizácia môže prísne kontrolovať, ktoré príkazy agent vykoná, a napriek tomu čeliť kódu spustenému mimo jeho rozhodovania. Primeraná reakcia preto spája inventár rozšírení, dôveryhodnosť distribúcie a vyšetrovanie pracovnej stanice. Zverejnené dôkazy odôvodňujú kontrolu dotknutých inštalácií, nie plošné tvrdenie, že všetky nástroje Claude alebo všetci používatelia Cursor boli kompromitovaní.